在Ubuntu中，dumpcap 是一个强大的命令行工具，用于捕获网络数据包。要使用 dumpcap 过滤数据包，你可以使用 -w 选项将捕获的数据包写入文件，并结合 -i 选项指定要监听的网络接口。此外，dumpcap 支持使用BPF（Berkeley Packet Filter）语法来设置过滤器。
以下是一些基本步骤和示例，说明如何使用 dumpcap 过滤数据包：
确定网络接口：
首先，你需要知道要捕获数据包的网络接口名称。可以使用 ifconfig 或 ip a 命令来查看可用的网络接口。
ifconfig -a
或者
ip a
使用BPF过滤器：
BPF过滤器允许你指定只捕获满足特定条件的数据包。例如，如果你只想捕获TCP数据包，可以使用 tcp 作为过滤器。
sudo dumpcap -i eth0 'tcp'
这里 -i eth0 表示监听 eth0 接口，'tcp' 是BPF过滤器表达式。
将捕获的数据包写入文件：
使用 -w 选项可以将捕获的数据包写入到文件中，以便后续分析。
sudo dumpcap -i eth0 -w output.pcap 'tcp'
限制捕获的数据包数量或大小：
你可以使用 -c 选项来限制捕获的数据包数量，或者使用 -C 选项来设置每个文件的最大大小。
sudo dumpcap -i eth0 -w output.pcap 'tcp' -c 100
这将只捕获100个TCP数据包。
sudo dumpcap -i eth0 -w output.pcap 'tcp' -C 10
这将在每个文件达到10MB时创建一个新的文件。
实时查看捕获的数据包：
如果你想实时查看捕获的数据包而不是写入文件，可以使用 -l 选项。
sudo dumpcap -i eth0 -l 'tcp'
使用更复杂的BPF过滤器： BPF过滤器支持复杂的表达式，例如，如果你想捕获源IP地址为192.168.1.100的TCP数据包，可以使用以下命令：
sudo dumpcap -i eth0 'tcp and src host 192.168.1.100'
请记住，使用 dumpcap 通常需要管理员权限，因此你可能需要使用 sudo 来运行这些命令。
在实际使用中，你可以根据需要调整过滤器表达式，以捕获特定的网络流量。更多关于BPF过滤器的信息，你可以查阅 dumpcap 的手册页（通过运行 man dumpcap）或在线资源。